Giải thích về phục hồi rừng Active Directory

Do đó, việc phục hồi rừng Active Directory phải là yếu tố cốt lõi trong chiến lược an ninh mạng của bất kỳ tổ chức nào. Nhưng một kế hoạch phục hồi rừng AD vững chắc đòi hỏi những gì? Và những sai lầm phổ biến mà bạn nên tránh khi lập kế hoạch chiến lược của mình là gì? Bài đăng trên blog này trả lời những câu hỏi quan trọng này và hơn thế nữa.

Phục hồi rừng Active Directory là gì?

Khôi phục rừng AD là quá trình khôi phục rừng Active Directory về trạng thái chức năng sau thảm họa, chẳng hạn như tấn công mạng, lỗi phần cứng, thiên tai hoặc lỗi quản trị viên.

Xin giới thiệu ngắn gọn, rừng AD có hệ thống phân cấp sau: rừng > cây > miền. Nghĩa là, khu rừng Active Directory là tập hợp của một hoặc nhiều cây Active Directory với lược đồ thư mục dùng chung, danh mục chung, thông tin ứng dụng và đối tượng cấu hình. (Danh mục chung liệt kê tất cả các đối tượng trong nhóm và lược đồ xác định lớp và thuộc tính của từng đối tượng trong nhóm.) Mỗi cây bao gồm một hoặc nhiều miền trong cấu trúc phân cấp, với một không gian tên liền kề và mối quan hệ tin cậy bắc cầu giữa các miền.

Mỗi Active Directory có ít nhất một nhóm và mỗi nhóm có ít nhất một miền. Và mỗi miền có ít nhất một bộ điều khiển miền (DC), là máy chủ chạy Dịch vụ miền Active Directory (AD DS) — thường được gọi đơn giản hơn là “Active Directory. ”

Do đó, khi nói về khôi phục rừng Active Directory, chúng ta đang nói về việc khôi phục bộ điều khiển miền. Trong trường hợp đơn giản nhất, đó chỉ là một DC duy nhất trong một miền trong forest. Nhưng đối với hầu hết các tổ chức, việc này liên quan đến việc khôi phục nhiều DC trong một miền duy nhất của nhóm — thậm chí hoặc nhiều DC trong mỗi miền trong số nhiều miền trong nhóm.

Tại sao việc phục hồi rừng Active Directory lại quan trọng?

Bởi vì Active Directory cung cấp các dịch vụ nhận dạng quan trọng cho đại đa số các tổ chức ngày nay nên nó từ lâu đã trở thành mục tiêu hàng đầu của các cuộc tấn công mạng. Và đối thủ tiếp tục trau dồi kỹ năng tấn công AD của họ; trên thực tế, một số cuộc tấn công bằng ransomware có thể phá hủy rừng Active Directory của bạn trong vài phút hoặc thậm chí vài giây. Nhưng rủi ro không chỉ giới hạn ở các cuộc tấn công mạng — mọi khu rừng Active Directory cũng dễ bị ảnh hưởng bởi thiên tai, lỗi phần cứng và phần mềm, lỗi của con người và các loại nghịch cảnh khác.

Do vai trò cốt lõi của AD trong hệ sinh thái CNTT, thời gian ngừng hoạt động của rừng tương đương với tổn thất kinh doanh. Mỗi phút AD không có sẵn, nhân viên của bạn sẽ không thể thực hiện công việc của mình, khách hàng sẽ không thể đặt hàng và gần như tất cả các quy trình kinh doanh khác của bạn sẽ bị đình trệ.

Cái giá của thời gian rừng ngừng hoạt động tăng lên nhanh chóng. Trong Nghiên cứu về tác động kinh tế tổng thể mà Quest ủy quyền từ Forrester Consulting, mỗi giờ AD ngoại tuyến được tính toán sẽ khiến doanh thu bị mất là 730.000 USD. Một nghiên cứu khác cho thấy 40% doanh nghiệp nói rằng một giờ ngừng hoạt động sẽ tiêu tốn từ 1 triệu đến hơn 5 triệu USD. Trong trường hợp xấu nhất, tổn thất có thể lên tới hàng triệu đô la mỗi phút.

Nói một cách đơn giản, việc khôi phục rừng Active Directory không chỉ quan trọng — việc khôi phục hoạt động kinh doanh của bạn sau thảm họa còn cần thiết, bất kể nguyên nhân là gì.

Làm cách nào để sao lưu nhóm Active Directory của tôi?

Phần đầu tiên của bất kỳ chiến lược khôi phục rừng Active Directory nào là đảm bảo rằng bạn có các bản sao lưu đáng tin cậy để khôi phục. Hãy nhớ thực hiện các bản sao lưu AD thường xuyên, kiểm tra chúng để đảm bảo chúng hợp lệ và lưu trữ chúng ở nơi an toàn. Microsoft khuyên bạn nên tuân theo quy tắc 3-2-1: Giữ 3 bản sao lưu dữ liệu của bạn trên 2 loại bộ nhớ khác nhau và giữ ít nhất 1 bản sao lưu bên ngoài. Ngoài ra, điều khôn ngoan là đảm bảo rằng ít nhất một số bản sao lưu của bạn được air-gapped — đảm bảo rằng đối thủ không có quyền truy cập vào chúng để chúng luôn sẵn sàng khi bạn cần để khôi phục khu rừng của mình.

Các loại sao lưu

Thực tế, có một số loại bản sao lưu cần biết khi bạn thiết kế chiến lược khôi phục rừng Active Directory của mình. Các tùy chọn gốc bao gồm:

• Bản sao lưu trạng thái hệ thống— Những bản sao lưu này bao gồm gần như toàn bộ hệ điều hành chứ không chỉ các phần Active Directory. Do đó, việc khôi phục từ bản sao lưu Trạng thái hệ thống sẽ làm tăng nguy cơ khôi phục thành phần bị nhiễm phần mềm độc hại hoặc có lỗ hổng zero-day, vì vậy chúng hiếm khi là lựa chọn tốt nhất trong trường hợp xảy ra thảm họa.
• Sao lưu khôi phục kim loại trần (BMR)— Bản sao lưu BMR cho phép bạn khôi phục DC của mình về các phiên bản phần cứng khác nhau, điều này đặc biệt có giá trị trong trường hợp DC bị hỏng vật lý. Giống như các bản sao lưu Trạng thái hệ thống, các bản sao lưu BMR bao gồm nhiều dữ liệu hơn mức cần thiết để khôi phục Active Directory, làm chậm quá trình khôi phục và tăng rủi ro.

Một số giải pháp khắc phục thảm họa của bên thứ ba cung cấp các tùy chọn sao lưu bổ sung:

• Bản sao lưu Active Directory— Các bản sao lưu này chỉ bao gồm các thành phần dành riêng cho AD: thư mục NTDS, SYSVOL (chứa Chính sách nhóm và các tập lệnh đăng nhập) và các khía cạnh của sổ đăng ký liên quan đến AD.
• Sao lưu Azure AD— Trong môi trường AD kết hợp, bạn cũng cần chiến lược sao lưu cho các đối tượng và thuộc tính chỉ dành cho đám mây, chẳng hạn như giấy phép Microsoft 365 và phân công vai trò ứng dụng, nhóm Office 365 và Azure AD, chỉ dành cho đám mây người dùng như tài khoản Azure B2B và B2C cũng như cài đặt Azure AD MFA và chính sách Truy cập có điều kiện. Các đối tượng và thuộc tính quan trọng trong kinh doanh này không được bảo vệ đầy đủ bởi các công cụ gốc của Microsoft cũng như không được bao phủ bởi bất kỳ giải pháp sao lưu tại chỗ nào.

Phục hồi rừng Active Directory đòi hỏi những gì?

Khôi phục rừng Active Directory không chỉ đơn thuần là khôi phục DC của bạn từ bản sao lưu. Nó đòi hỏi sự phối hợp tỉ mỉ của nhiều bước: chuẩn bị, thực hiện khôi phục, đồng bộ hóa từng DC với các đối tác sao chép và cung cấp lại DC, v.v.

Chi tiết của quy trình tùy thuộc vào loại bản sao lưu bạn đã thực hiện và công cụ khôi phục bạn đang sử dụng. Hai trong số các loại phương pháp khôi phục rừng Active Directory chính là khôi phục kim loại trần và khôi phục hệ điều hành sạch (OS).

Chỉ khả dụng với giải pháp sao lưu và khôi phục doanh nghiệp, khôi phục hệ điều hành sạch sẽ vượt trội hơn BMR trong hầu hết các tình huống, bao gồm cả các cuộc tấn công bằng ransomware. Lý do chính là BMR khôi phục toàn bộ ổ đĩa (phân vùng đĩa), bao gồm các tệp không thuộc AD, chẳng hạn như khu vực khởi động, thư mục tệp chương trình và thư mục Windows và WinSXS. Điều này khiến phần mềm độc hại có rất nhiều nơi để ẩn náu, khiến bạn có nguy cơ bị tái nhiễm sau thao tác khôi phục.

Mặt khác, Clean OS recovery chỉ khôi phục các thành phần AD, giúp giảm đáng kể những nơi phần mềm độc hại có thể ẩn náu. Hơn nữa, để thực hiện BMR, máy mục tiêu phải có bố cục đĩa vật lý giống như DC ban đầu và các đĩa đó ít nhất phải có dung lượng bằng nhau để có thể đặt các phân vùng giống như trước đây. Bạn cũng phải lo lắng về việc chèn các trình điều khiển quan trọng khi khởi động, cấu hình mạng dòng lệnh, v.v.

Các trường hợp ngoại lệ khi BMR được ưu tiên hơn bao gồm những lúc bạn thực sự cần dữ liệu bổ sung được lưu trữ trong bản sao lưu BMR. Ví dụ: BMR có thể cần thiết nếu bộ điều khiển miền của bạn đang được sử dụng cho các dịch vụ không liên quan đến AD như lưu trữ các vùng DNS không được tích hợp AD, chạy Tổ chức phát hành chứng chỉ hoặc chạy các dịch vụ tệp và in.

Làm cách nào để thực hiện khôi phục rừng Active Directory?

Cách nhanh nhất để giúp tổ chức của bạn sao lưu và hoạt động ổn định, nếu không hoạt động hoàn toàn, là sử dụng phương pháp tiếp cận theo từng giai đoạn để khôi phục rừng Active Directory. Mỗi giai đoạn có thể được thực hiện theo cách thủ công hoặc bằng giải pháp khôi phục Active Directory được xây dựng có mục đích.

Giai đoạn 1: Khôi phục một DC trong mỗi miền

Bước đầu tiên là khôi phục một DC trong mỗi miền, sau đó yêu cầu các DC đó liên lạc và hoạt động trở lại như một khu rừng.

• Với các phương pháp thủ công: Mặc dù chỉ khôi phục một vài DC đã chọn nhanh hơn rất nhiều so với khôi phục tất cả chúng, nhưng với các phương pháp thủ công, giai đoạn này vẫn cực kỳ tốn thời gian. Trên thực tế, Hướng dẫn khôi phục nhóm Active Directory của Microsoft nêu ra 12 quy trình cấu hình bao gồm hơn 40 bước phải được thực hiện trên mỗi DC mà bạn đã khôi phục từ bản sao lưu. Việc không hoàn thành đúng các bước này có thể khiến AD bị hỏng hoặc để lại các lỗ hổng bảo mật còn sót lại.
• Với giải pháp khôi phục AD: Giải pháp sao lưu và khôi phục doanh nghiệp có thể hợp lý hóa và tự động hóa các tác vụ này, giảm thời gian cần thiết để khởi động lại hoạt động kinh doanh của bạn từ vài ngày hoặc vài tuần xuống còn vài giờ.

Giai đoạn 2: Thúc đẩy các DC còn lại của bạn

Sau đó, bạn cần quảng bá các DC còn lại trong mỗi miền.

• Với các phương pháp thủ công: Bạn có một số tùy chọn cho giai đoạn này, bao gồm cả quảng cáo DC thẳng, nhưng Microsoft khuyến nghị phương pháp cài đặt từ phương tiện (IFM). Vì IFM giảm lưu lượng được gửi qua mạng của bạn xuống một nửa nên nó tăng tốc đáng kể quá trình quảng bá DC. Tuy nhiên, bằng cách sử dụng các công cụ gốc, cả hai phương pháp đều yêu cầu bạn quảng bá từng DC một và mỗi máy chủ sẽ mất vài phút đến vài giờ để quảng bá.
• Với giải pháp khôi phục AD: Giải pháp của bên thứ ba có thể tự động hóa quy trình IFM và thúc đẩy song song nhiều DC, rút ngắn đáng kể Giai đoạn 2 của quá trình khôi phục.

Các lỗi thường gặp trong lập kế hoạch khôi phục rừng Active Directory

Bây giờ, hãy xem xét các lỗi chính mà các tổ chức có xu hướng mắc phải khi phát triển chiến lược khôi phục rừng Active Directory của họ. Dưới đây là những điều hàng đầu cần tránh:

1. Không ưu tiên sao lưu và phục hồi Active Directory

Khi nói đến việc sao lưu và phục hồi, nhóm CNTT có nhiều ưu tiên: các tệp quan trọng trong kinh doanh, các ứng dụng quan trọng, cơ sở dữ liệu thiết yếu, v.v. Nhưng thực tế đơn giản là, Active Directory là cách chính để người dùng xác thực và giành quyền truy cập vào tài nguyên CNTT, cả tại cơ sở và trên đám mây — vì vậy cho đến khi Active Directory được khôi phục, người dùng không có cách nào để có quyền truy cập vào các tệp, ứng dụng và cơ sở dữ liệu. Vì vậy việc sao lưu và phục hồi Active Directory phải được đặt lên hàng đầu trong danh sách ưu tiên.

2. Nghĩ rằng Thùng rác AD là đủ

Thùng rác AD là một công cụ có giá trị; nó cung cấp một cách thuận tiện để nhanh chóng khôi phục một số loại đối tượng đã bị xóa gần đây. Nhưng nó không phải — và chưa bao giờ có ý định trở thành — một giải pháp sao lưu và phục hồi doanh nghiệp.

Để minh họa lý do tại sao Thùng rác AD không đủ khả năng để khôi phục cụm Active Directory, hãy xem xét các hạn chế của nó trong việc khôi phục ngay cả một đối tượng AD. Để bắt đầu, Thùng rác chỉ dành cho các đối tượng đã xóa; không có cách nào để khôi phục các thuộc tính cụ thể của đối tượng đã được sửa đổi. Ví dụ: nếu kẻ tấn công thả một trình xáo trộn mật khẩu vào mạng của bạn, nó sẽ đặt lại mật khẩu tài khoản người dùng của bạn. Nhưng vì các đối tượng AD đó được sửa đổi chứ không bị xóa nên chúng sẽ không đi vào Thùng rác và do đó không thể khôi phục từ đó.

Hơn nữa, không phải tất cả các loại đối tượng đều được chuyển vào Thùng rác khi chúng bị xóa và ngay cả những mục thường nằm ở đó cũng có thể bị xóa theo cách ngăn chúng đi vào Thùng rác. Ví dụ: các đối tượng Chính sách nhóm (GPO) mà bạn chắc chắn cần khôi phục sau thảm họa, không nằm trong Thùng rác. Và ngay cả những đối tượng đã xóa nằm trong Thùng rác vẫn chỉ ở đó trong 30 ngày, sau đó chúng sẽ bị xóa vĩnh viễn. Cuối cùng nhưng không kém phần quan trọng, thật khó để biết bạn cần khôi phục những gì vì không có nhật ký thay đổi hoặc báo cáo so sánh để giúp bạn xác định đối tượng nào bạn cần khôi phục.

Nói tóm lại, mặc dù Thùng rác chắc chắn là một cách thuận tiện để khôi phục đối tượng AD đã xóa trong một số trường hợp hạn chế, nhưng đó không phải là bản sao lưu và chắc chắn không nên nhầm lẫn với chiến lược khôi phục rừng Active Directory.

3. Lập kế hoạch khôi phục thủ công DC từ bản sao lưu

Như đã lưu ý trước đó, có thể khôi phục DC từ bản sao lưu theo cách thủ công — nhưng đây là một quy trình cực kỳ phức tạp và dễ xảy ra lỗi, có thể mất vài ngày hoặc thậm chí vài tuần để hoàn thành. Hơn nữa, việc mắc lỗi hoặc thực hiện các bước không theo trình tự có thể dẫn đến nhiều vấn đề nghiêm trọng, bao gồm cả việc phá vỡ tính năng sao chép giữa các bộ điều khiển miền.

Ngoài ra, nếu quy trình bao gồm khôi phục Azure AD, người dùng có thể sẽ thiếu các thuộc tính dựa trên đám mây như giấy phép Office 365 và phân công vai trò ứng dụng, những thuộc tính này rất quan trọng để họ có thể thực hiện công việc của mình. Và vì hầu hết các thuộc tính này không được chuyển đến Thùng rác Azure AD nên việc khôi phục chúng kịp thời gần như không thể thực hiện được bằng cách tiếp cận thủ công.

Nói tóm lại, việc khôi phục DC từ bản sao lưu theo cách thủ công đơn giản là không thể mang lại khả năng khôi phục rừng Active Directory nhanh chóng mà bạn cần để đưa doanh nghiệp của mình hoạt động trở lại kịp thời và giảm thiểu thiệt hại do thảm họa.

4. Dựa vào các nhóm Microsoft DART và Phản hồi quan trọng (CRSP)

Nhóm Microsoft DART và CRSP có thể giúp bạn thực hiện khôi phục cụm Active Directory — nhưng hãy sẵn sàng trả phí. Đó là vì họ tính phí thời gian cần thiết để thực hiện công việc và như chúng ta đã thấy, việc khôi phục bằng các công cụ và quy trình gốc là một quá trình tốn thời gian.

Ngoài ra, hãy nhớ rằng ngay cả các chuyên gia của Microsoft cũng không thể khôi phục khu rừng của bạn nếu bạn chưa tạo các bản sao lưu thích hợp và giữ chúng an toàn khỏi bị hỏng, xóa và mã hóa.

5. Không coi việc khôi phục là một thành phần quan trọng của an ninh mạng

Một kế hoạch an ninh mạng mạnh mẽ là rất quan trọng đối với mọi tổ chức. Nó phải bao gồm các chiến lược để giảm bề mặt tấn công của bạn thông qua các phương pháp tiếp cận như đánh giá rủi ro và quản lý đường dẫn tấn công. Và nó yêu cầu kiểm tra chuyên sâu đối với hoạt động đáng ngờ, phân tích mối đe dọa nâng cao và khả năng phản ứng nhanh.

Nhưng hãy nhớ rằng việc phục hồi cũng rất cần thiết cho an ninh mạng; thực sự, nó là một trong những trụ cột của khuôn khổ an ninh mạng NIST (CSF). Hơn nữa, hãy nhớ rằng mục tiêu của bạn không chỉ là an ninh mạng mà còn là khả năng phục hồi mạng: cho phép tổ chức của bạn liên tục thực hiện các mục tiêu hoặc sứ mệnh của mình bằng cách duy trì và vận hành môi trường CNTT nhiều nhất có thể — đồng thời khôi phục và hoạt động nhanh chóng khi có sự gián đoạn. xảy ra. Theo đó, việc đầu tư vào phục hồi rừng Active Directory cũng cần thiết như bất kỳ phần nào khác trong chiến lược phục hồi không gian mạng của bạn.

6. Khôi phục AD từ một hình ảnh riêng biệt được lưu trữ trên đám mây

Ảnh chụp nhanh VM — hình ảnh của máy ảo (VM) tại một thời điểm nhất định — đơn giản là không phải là bản sao lưu Active Directory đầy đủ, bất kể chúng được lưu trữ ở đâu. Việc sử dụng chúng để phục hồi rừng hầu như sẽ luôn dẫn đến các vấn đề về tính nhất quán dữ liệu khó giải quyết. Hơn nữa, hình ảnh trên đám mây không thể tránh khỏi các cuộc tấn công mạng, lỗi của con người, lỗi và những nghịch cảnh khác có thể làm hỏng hoặc xóa chúng một cách kỳ diệu.

7. Không bảo vệ bản sao lưu của bạn

Kẻ thù biết rằng việc khôi phục rừng Active Directory yêu cầu các bản sao lưu tốt, vì vậy, chúng thường cố gắng xóa, mã hóa hoặc làm hỏng mọi bản sao lưu mà chúng có thể tiếp cận để đảm bảo cuộc tấn công của chúng gây ra nhiều thiệt hại nhất có thể. Theo đó, điều quan trọng là tạo các bản sao lưu bất biến mà bất kỳ ai cũng không thể thay đổi, dù cố ý hay vô tình. Ngoài ra, hãy đảm bảo rằng ít nhất một số bản sao lưu của bạn được bảo vệ an toàn không dây — được lưu trữ ở nơi không có kết nối mạng vật lý và không thể truy cập qua mạng — để chúng nằm ngoài tầm với của các tác nhân đe dọa và phần mềm độc hại.

Phần kết luận

Việc có một chiến lược phục hồi rừng Active Directory toàn diện và chắc chắn là rất quan trọng đối với an ninh mạng và khả năng phục hồi mạng. Đầu tư vào các công cụ chất lượng dành cho doanh nghiệp có thể đảm bảo độ chính xác và tăng tốc đáng kể quá trình khôi phục, từ vài ngày, vài tuần đến chỉ vài giờ. Hãy để tôi để lại cho bạn một trích dẫn từ Gartner Research:

“Nếu có thể, hãy đầu tư vào các công cụ chuyên dụng để khôi phục Active Directory vì các công cụ và quy trình của Microsoft cùng với khả năng hạn chế của các công cụ sao lưu doanh nghiệp thường không phù hợp với mục đích. ”

• Gartner,Inc., “Khôi phục so với xây dựng lại — Chiến lược khôi phục ứng dụng sau cuộc tấn công bằng phần mềm tống tiền,” Nik Simpson và Ron Blair, ngày 2 tháng 3 năm 2022